GitHub giới hạn báo cáo lỗ hổng riêng tư: maintainer giảm spam nhưng phải giữ cửa cho researcher

Bài viết này do AI tạo ra, có thể mắc sai sót.

Tóm tắt nhanh

GitHub thêm giới hạn báo cáo lỗ hổng riêng tư theo ngày và theo từng tài khoản.
Quản trị viên kho mã có thể đặt ngưỡng tổng mỗi ngày và allow list người báo tin cậy.
Giới hạn chỉ áp dụng báo cáo mới; bình luận trong advisory hiện có không bị chặn.

Vì sao GitHub phải chặn theo nhịp gửi?

GitHub cho biết maintainer mã nguồn mở đang nhận nhiều báo cáo chất lượng thấp và báo cáo tự động. Khi hàng loạt report cùng đổ vào, lỗ hổng hợp lệ dễ bị chìm, triage chậm và kênh disclosure riêng tư mất giá trị.

Các kiểm soát mới

Private vulnerability reporting nay áp daily rate limit cho báo cáo mới của một account, cả ở phạm vi repository lẫn toàn GitHub. Người chạm ngưỡng sẽ nhận thông báo thử lại sau. Admin có thể đặt custom daily overall reporting limit cho repository và đưa trusted reporter vào allow list để không bị rate limit.

Phạm vi phát hành

Tính năng dành cho repository public đã bật private vulnerability reporting trên GitHub Free, Pro, Team và Enterprise Cloud. Đây là thay đổi lớp tiếp nhận, không thay thế quy trình xác minh, SLA phản hồi hoặc CVE của dự án.

Nhà duy trì cần làm gì?

Kiểm tra Settings, Advanced Security, rồi Settings tại Private vulnerability reporting. Bắt đầu bằng ngưỡng đủ chặn spam nhưng không bóp nghẹt researcher; thêm allow list có kiểm soát, lưu log triage và đánh giá lại sau vài tuần. Không dùng allow list rộng theo tổ chức nếu chưa xác thực danh tính.

Phân tích

AI làm chi phí tạo report giảm mạnh, nên rate limit là hàng rào vận hành hợp lý: giảm tải trước khi người duy trì đọc nội dung. Nhưng giới hạn quá thấp có thể làm mất báo cáo thật, nhất là khi researcher báo nhiều lỗi độc lập. Kết hợp ngưỡng, trusted reporter và quy trình phản hồi minh bạch là cân bằng tốt hơn việc đóng hẳn kênh private disclosure.